2025年衛生健康行業網絡與數據安全技能大賽備賽試題附答案

2025年衛生健康行業網絡與數據安全技能大賽備賽試題附答案一、單項選擇題（每題2分，共30分）1.根據《衛生健康數據分類分級指南（2023版）》，以下哪類數據屬于“核心數據”？A.醫院公共區域監控視頻（非診療區域）B.患者電子病歷（含診斷結論、用藥記錄）C.醫院后勤部門設備采購清單D.醫務人員年度考核結果答案：B2.某醫院需通過互聯網傳輸患者影像檢查數據（DICOM格式），為防止傳輸過程中被篡改，最適合采用的技術是？A.對稱加密（AES-256）B.數字簽名（RSA算法）C.哈希校驗（SHA-256）D.量子加密答案：C（哈希校驗用于驗證數據完整性，防止篡改；加密主要防止泄露）3.依據《個人信息保護法》，醫療結構處理患者個人健康信息（PHI）時，以下哪項不符合“最小必要”原則？A.僅收集與診療直接相關的年齡、癥狀、過敏史B.為統計研究需要，額外收集患者籍貫、職業信息C.系統權限設置僅開放“查看”功能給實習醫生D.存儲周期設定為診療結束后5年（符合行業慣例）答案：B4.某醫院HIS系統（醫院信息系統）發現異常網絡流量，經分析為SQL注入攻擊，攻擊源指向院內護士站終端。最可能的漏洞是？A.終端未安裝殺毒軟件B.數據庫未啟用審計日志C.應用程序未對用戶輸入進行過濾D.網絡防火墻策略未限制數據庫端口答案：C（SQL注入主要因未對輸入參數做安全校驗）5.衛生健康行業關鍵信息基礎設施運營者（如省級全民健康信息平臺）應按照《關鍵信息基礎設施安全保護條例》要求，每年至少開展幾次檢測評估？A.1次B.2次C.3次D.4次答案：A6.以下哪項屬于醫療數據“脫敏處理”的典型操作？A.將患者姓名替換為“患者123”（保留唯一性標識）B.對電子病歷中的身份證號進行部分隱藏（如4403011234）C.使用AES算法加密患者手機號D.對醫療影像文件進行壓縮存儲答案：B（脫敏需消除可識別性，A保留唯一性仍可關聯，C屬于加密非脫敏）7.某醫院部署物聯網醫療設備（如智能血壓計），為防止設備被非法控制，最關鍵的安全措施是？A.為設備分配固定IP地址B.啟用設備身份認證（如數字證書）C.定期更新設備操作系統D.限制設備僅訪問院內局域網答案：B（物聯網設備易受偽造攻擊，身份認證是基礎）8.根據《衛生健康行業網絡安全管理辦法》，二級以上醫院應至少配備幾名專職網絡安全管理人員？A.1名B.2名C.3名D.5名答案：B9.某醫院電子病歷系統出現用戶賬號被盜用，經查為用戶使用弱密碼（如“123456”）導致。最有效的防范措施是？A.增加賬號鎖定機制（連續輸錯5次鎖定）B.強制啟用雙因素認證（如短信驗證碼+密碼）C.定期修改密碼（每90天）D.限制賬號登錄時間段（僅工作時間）答案：B（弱密碼問題需通過多因素認證彌補）10.醫療數據跨境傳輸時，需遵守《數據安全法》及相關規定。以下哪類數據嚴格禁止未經評估直接出境？A.匿名化處理后的疾病統計數據（無法還原至個人）B.某罕見病患者的完整診療記錄（僅1例）C.醫院公開的年度運營報告（無患者信息）D.經去標識化處理的影像數據集（無法關聯到特定患者）答案：B（涉及特定個人健康信息的核心數據）11.某醫院網絡安全團隊檢測到勒索軟件攻擊跡象（文件被加密，擴展名變為“.encrypted”），首要應對措施是？A.立即支付贖金獲取解密密鑰B.斷開受感染設備與網絡的連接C.使用殺毒軟件全盤掃描D.聯系上級主管部門報告事件答案：B（隔離防止擴散是首要步驟）12.以下哪項符合醫療行業“最小權限原則”的實踐？A.護士賬號同時具備醫囑錄入和藥品庫修改權限B.藥劑師賬號僅能查看本科室患者的用藥記錄C.系統管理員賬號可訪問所有患者電子病歷D.實習醫生賬號與主治醫生賬號權限一致答案：B13.《信息安全技術健康醫療數據安全指南》（GB/T42577-2023）中，要求健康醫療數據共享應遵循“可控共享”原則，核心是？A.共享范圍最小化B.共享過程可追溯C.共享內容去標識化D.共享對象實名認證答案：B（可追溯是可控的關鍵）14.某醫院開展AI輔助診斷系統開發，使用患者影像數據訓練模型。為防止訓練數據泄露，最有效的措施是？A.對訓練數據進行差分隱私處理（添加隨機噪聲）B.限制模型訓練僅在離線環境中進行C.與開發團隊簽訂數據保密協議D.定期審計模型訓練日志答案：A（技術層面直接降低數據可識別性）15.醫療行業工業控制系統（如智能手術室設備控制系統）的安全防護重點是？A.防止惡意軟件感染B.確保操作指令的完整性和時效性C.限制遠程訪問權限D.定期備份控制程序答案：B（醫療設備控制需保障指令準確及時，否則可能危及患者安全）二、填空題（每題2分，共20分）1.衛生健康行業網絡安全等級保護應按照《信息安全技術網絡安全等級保護基本要求》（GB/T22239-2019）執行，三級系統需滿足第______部分要求（填寫數字）。答案：32.醫療數據脫敏的常用方法包括______、______、______（至少答3種）。答案：掩碼、哈希、泛化、隨機化（任意3種）3.《個人信息保護法》規定，處理敏感個人信息（如健康信息）應取得個人______同意，并明確告知處理的必要性和對個人權益的影響。答案：單獨4.醫院關鍵業務系統（如HIS、LIS）的備份策略應滿足“______”原則，即至少1份離線備份、1份異地備份。答案：3-2-1（3份備份、2種介質、1份異地）5.物聯網醫療設備的安全通信通常采用______協議（如用于低功耗設備的輕量級協議）。答案：MQTT（或CoAP）6.醫療數據泄露事件中，運營者需在______小時內向衛生健康主管部門和網信部門報告（依據《數據安全法》）。答案：247.電子病歷系統的訪問控制應采用______模型（如基于角色的訪問控制）。答案：RBAC（基于角色的訪問控制）8.醫療影像存儲與傳輸系統（PACS）的安全防護需重點保障數據的______、______和______（三性）。答案：完整性、保密性、可用性9.醫院網絡邊界防護的核心設備是______，需啟用深度包檢測（DPI）功能。答案：防火墻10.《衛生健康行業網絡安全事件分級指南》中，導致5000人以上個人健康信息泄露的事件屬于______級事件（填寫“特別重大”“重大”“較大”或“一般”）。答案：重大三、判斷題（每題2分，共20分。正確打√，錯誤打×）1.醫院公共WiFi可以與HIS系統所在內網共用同一物理網絡，只需劃分VLAN隔離。（）答案：×（關鍵業務網絡需物理隔離）2.去標識化處理后的醫療數據不屬于個人信息，因此可以自由共享。（）答案：×（去標識化仍可能通過其他信息關聯，需結合場景判斷）3.醫療設備廠商遠程維護時，可直接通過互聯網訪問設備控制系統，無需額外安全措施。（）答案：×（需通過VPN、跳板機等安全通道，并記錄操作日志）4.醫院只需對存儲患者信息的數據庫進行加密，終端設備存儲的臨時數據無需加密。（）答案：×（所有存儲個人信息的介質均需加密）5.網絡安全等級保護測評中，三級系統需每年開展1次測評，二級系統每3年1次。（）答案：√6.為提升效率，醫院可以將患者姓名、手機號等信息提供給合作的保險機構，無需患者單獨授權。（）答案：×（需取得患者明確同意）7.勒索軟件攻擊中，若系統有最近72小時的完整備份，可直接恢復數據，無需分析攻擊路徑。（）答案：×（需分析漏洞并修復，防止再次攻擊）8.醫療數據跨境傳輸時，只要接收方所在國家有完善的數據保護法律，即可直接傳輸。（）答案：×（需通過安全評估或簽訂標準合同）9.醫院員工離職時，只需刪除其賬號即可，無需審計其歷史操作記錄。（）答案：×（需審計并歸檔記錄）10.人工智能輔助診斷模型訓練使用的醫療數據，無需標注數據來源和使用范圍。（）答案：×（需明確數據來源并遵守知情同意）四、簡答題（每題6分，共30分）1.簡述醫療健康行業數據安全治理的“三同步”原則及其具體要求。答案：“三同步”指數據安全與業務系統“同步規劃、同步建設、同步使用”。具體要求：（1）規劃階段需明確數據安全目標和措施；（2）建設階段需將安全技術（如加密、訪問控制）嵌入系統開發；（3）使用階段需持續監測數據流動，確保安全措施有效運行。2.列舉醫院HIS系統（醫院信息系統）面臨的3類主要安全風險，并提出對應的防護措施。答案：風險及措施：（1）結構化查詢語言（SQL）注入攻擊——對用戶輸入進行校驗和轉義，使用ORM框架；（2）越權訪問（如護士查看非本科室患者病歷）——實施RBAC模型，細化權限顆粒度；（3）數據泄露（如接口調用未鑒權）——對外部接口啟用API密鑰認證，限制調用頻率。3.當發現醫院電子病歷系統存在患者信息批量泄露（涉及1000人）時，應遵循哪些應急響應流程？答案：（1）立即隔離受影響系統，阻斷泄露路徑；（2）啟動應急預案，成立應急小組；（3）驗證泄露范圍（如泄露數據類型、數量、涉及患者）；（4）24小時內向衛生健康主管部門和網信部門報告；（5）通知受影響患者（通過短信、電話等方式），告知補救措施；（6）溯源分析（如漏洞、內部違規操作）；（7）修復漏洞，完善安全策略；（8）事后評估，形成報告并歸檔。4.簡述醫療物聯網設備（如智能輸液泵）的安全防護要點。答案：（1）身份認證：設備接入網絡時需驗證身份（如數字證書）；（2）通信加密：設備與服務器間傳輸數據使用TLS1.3等加密協議；（3）固件安全：定期更新固件，防止已知漏洞被利用；（4）訪問控制：限制設備僅能訪問必要的業務系統，禁止連接互聯網；（5）日志審計：記錄設備操作日志（如參數調整、異常報警），留存至少6個月。5.依據《衛生健康數據分類分級指南》，說明“一般數據”“重要數據”“核心數據”的劃分依據，并舉例說明。答案：（1）一般數據：不直接涉及個人健康或公共衛生安全，如醫院非診療區域監控視頻、后勤設備采購記錄；（2）重要數據：一旦泄露可能對個人權益、醫療秩序造成較大影響，如500人以下患者的檢查報告（非核心診療信息）；（3）核心數據：一旦泄露或破壞可能危及患者生命健康、公共衛生安全或社會穩定，如患者電子病歷（含診斷結論、用藥記錄）、突發公共衛生事件病例數據（≥500人）。五、綜合分析題（每題10分，共20分）案例1：某三甲醫院近期上線互聯網醫院平臺，提供在線問診、處方流轉服務。平臺運行1個月后，監測到以下異常：（1）部分用戶賬號在非本人登錄地（如境外IP）登錄；（2）某醫生賬號1天內調用處方查詢接口200次（日常平均5次/天）；（3）后臺數據庫日志顯示，有未知IP嘗試連接患者信息表（未成功）。問題：分析可能的安全風險，并提出針對性防護措施。答案：風險分析：（1）賬號被盜用（可能因弱密碼或釣魚攻擊）；（2）醫生賬號可能被非法控制，存在處方數據泄露風險；（3）數據庫遭受暴力破解或SQL注入攻擊。防護措施：（1）強制用戶啟用雙因素認證（如密碼+短信驗證碼），對異常登錄地觸發二次驗證；（2）對高頻接口調用設置閾值（如單日≤50次），超閾值自動鎖定賬號并告警；（3）數據庫啟用防火墻白名單，僅允許平臺服務器IP訪問；（4）部署入侵檢測系統（IDS），監測異常連接行為；（5）定期開展賬號安全審計，清理冗余權限；（6）對醫生進行安全培訓，防范社會工程學攻擊。案例2：某社區衛生服務中心計劃將本地存儲的居民健康檔案遷移至省級全民健康信息平臺（云存儲）。遷移前需完成數據安全評估，評估報告應包含哪些關鍵內容？答案：評估報告關鍵內容：（1）數據資產清單：明確遷移數據的類型（如電子健康檔案、體檢記錄）、數量、敏感等級（核心/重要/一般）；（2）遷移流程安全：傳輸方式（是否加密，如TLS1.3）、路徑（是否通過專用通道）、時間窗口（是否避開